Des développeurs de Remus Stealer affirment qu’un accès à Gmail peut survivre à un changement de mot de passe et à la révocation des sessions. Hudson Rock a examiné l’offre commerciale du malware, mais aucune faille de Google n’est confirmée à ce stade. Cet article fait le point sur les allégations, les faits vérifiés et les mesures à prendre.
🔑 En bref
- Remus Stealer, un infostealer, proposerait une offre « Enterprise » à 1 000 dollars par mois, selon Hudson Rock.
- Les développeurs présentent l’accès comme une zero-day Gmail, qualification que Hudson Rock n’a pas établie.
- Une faille Chrome effectivement exploitée, CVE-2026-2441, est documentée, mais elle est distincte de l’allégation Gmail.
- Google recommande la validation en deux étapes, la revue des sessions actives et la vérification des paramètres de messagerie.
Une offre commerciale d’accès persistant
Selon l’enquête de la société de cybersécurité Hudson Rock, les développeurs de Remus Stealer commercialisent une offre « Enterprise » facturée 1 000 dollars par mois. Remus Stealer appartient à la famille des infostealers, des logiciels espions conçus pour voler données personnelles et identifiants. Selon les informations publiées, l’offre promet un accès durable aux boîtes compromises, la consultation des e-mails sans récupération des fichiers de cookies du navigateur, ainsi que le maintien de l’accès après une modification du mot de passe ou une révocation des sessions.
Hudson Rock a obtenu des captures d’écran montrant une interface permettant de parcourir les messages, de rechercher des e-mails et de partager l’accès à une boîte compromise. Les chercheurs indiquent avoir échangé directement avec le développeur et avec une personne qui recommande publiquement le service.
« Nous avons directement échangé avec le développeur et une personne qui recommande publiquement le service »
Alon Gal, cofondateur et directeur technique, Hudson Rock
Selon Alon Gal, le programme interagit avec la mémoire du navigateur avant de quitter le système, ce qui pourrait rendre l’intrusion particulièrement difficile à détecter. Le tableau ci-dessous distingue les allégations des éléments effectivement vérifiés.
| Élément | Allégation des développeurs | Statut vérifié |
|---|---|---|
| Accès aux e-mails | Consultation via une interface dédiée | Captures d’écran obtenues par Hudson Rock |
| Persistance | Accès maintenu après changement de mot de passe | Non démontrée |
| Révocation des sessions | Accès conservé | Non confirmée |
| Nature de la faille | Zero-day Gmail | Non établie |
| Tarif | 1 000 $ par mois | Source : Hudson Rock |
Zero-day : une notion précise, une allégation non établie
Google Cloud définit l’exploit zero-day comme l’exploitation d’une vulnérabilité encore inconnue du fournisseur, souvent avant la disponibilité d’un correctif. Le terme désigne le délai entre l’exploitation et la correction, qui peut durer des jours, des mois, voire des années. Une fois le correctif publié et appliqué, l’exploit n’est plus considéré comme zero-day.
Les créateurs de Remus Stealer présentent leur découverte comme une faille zero-day de Gmail. Alon Gal nuance toutefois dans une publication sur LinkedIn : « Le développeur parle d’une zero-day Gmail. Nous ne l’avons pas établi. » Hudson Rock n’a pas non plus confirmé l’accès aux nouveaux e-mails après une récupération complète du compte.
Les chercheurs privilégient une autre hypothèse technique : le malware pourrait récupérer ou établir une autorisation réutilisable depuis un navigateur déjà compromis, puis l’utiliser à distance sans maintenir le logiciel malveillant actif sur l’ordinateur. Cette piste expliquerait la persistance de certains accès après la fermeture du navigateur, mais ne démontre pas leur maintien après une révocation effective des autorisations. La portée réelle de la technique reste donc inconnue.
Un risque qui dépasse Gmail
Si les promesses étaient confirmées, l’accès dépasserait le contenu de la messagerie. Gmail sert notamment à recevoir des liens de réinitialisation et des codes de vérification, qui peuvent permettre de prendre le contrôle d’autres services, y compris des plateformes financières ou des comptes liés aux cryptomonnaies. Alon Gal résume le problème ainsi :
« Un seul ordinateur infecté peut mettre en danger le canal de récupération de plusieurs comptes »
Alon Gal, cofondateur et directeur technique, Hudson Rock
Cryptoast indique avoir sollicité Google pour commenter les allégations, sans réponse publiée à la date de l’article. Les sources ne signalent aucun mouvement de marché, volume, cours ou montant mesurable lié à cette affaire. La seule réaction documentée reste l’intérêt des acteurs de cybersécurité, Hudson Rock ayant examiné l’offre et contacté ses promoteurs.
Chrome : une faille exploitée, distincte de l’allégation Gmail
Une faille Chrome effectivement exploitée est documentée. Le Monde Informatique décrit la première zero-day de Chrome en 2026, identifiée CVE-2026-2441. Il s’agit d’une vulnérabilité de type use-after-free, liée à une mauvaise gestion de la mémoire dynamique dans le traitement des feuilles de style CSS : le moteur libère une zone mémoire avant d’avoir fini de l’utiliser. Selon l’alerte de l’éditeur, la visite d’une page HTML malveillante pourrait permettre l’exécution de code arbitraire dans le bac à sable du navigateur.
| Élément | Détail | Source |
|---|---|---|
| Identifiant | CVE-2026-2441 | Le Monde Informatique |
| Type | Use-after-free dans la gestion CSS | Alerte de Google |
| Versions touchées | Windows et macOS antérieures à 145.0.7632.75/76 ; Linux antérieures à 144.0.7559.75 | Le Monde Informatique |
| Gravité | Élevée | Alerte de Google |
Cryptoast évoque par ailleurs un autre correctif de Chrome traitant neuf failles de sécurité, dont CVE-2026-125350, une vulnérabilité de gestion de la mémoire présentée comme la huitième zero-day exploitée et corrigée par Google depuis le début de 2026. Les deux sources ne s’accordent pas sur le rang de la faille : première pour l’une, huitième pour l’autre. Les identifiants différents et cette chronologie suggèrent des campagnes successives, sans que les sources établissent explicitement leur lien.
Gene Moody, directeur technique terrain chez Action1, explique que l’exploit libère un objet encore référencé dans la mémoire du navigateur. Un attaquant capable de maîtriser l’agencement du tas (heap) peut y substituer des données malveillantes. La faille, située dans le moteur de rendu et accessible via du contenu web standard, offre selon lui une surface d’attaque très étendue.
« En pratique, il peut suffire qu’un utilisateur vulnérable visite une page malveillante pour déclencher l’exploitation »
Gene Moody, directeur technique terrain, Action1
Réactions des experts et mesures recommandées
Johannes Ullrich, doyen de la recherche au SANS Institute, estime qu’il existe probablement de nombreuses autres zero-day de Chrome déjà utilisées, mais non découvertes ou non corrigées. Il rappelle que le code source de Chromium comprend environ 36 millions de lignes et que les adversaires utilisent eux aussi des outils automatisés pour trouver des failles.
« Un projet d’une telle ampleur comporte inévitablement des vulnérabilités »
Johannes Ullrich, doyen de la recherche, SANS Institute
Pour Ullrich, les extensions malveillantes constituent souvent un problème plus important que les zero-day. David Shipley, dirigeant de Beauceron Security, considère pour sa part que le correctif actuel semble partiel et que Google reste discret sur la gravité de la faille. Il souligne aussi que le déploiement des correctifs reste complexe et coûteux, en particulier pour les petites organisations. Google recommande néanmoins d’appliquer les mises à jour dès que possible.
Procédure pour un compte Gmail compromis
- Nettoyer l’appareil infecté, puis modifier les identifiants depuis un équipement sain.
- Vérifier les sessions actives, les applications autorisées, les méthodes de récupération et les comptes associés.
- Contrôler la délégation de messagerie, le transfert automatique, les filtres, les adresses d’envoi et l’accès IMAP ou POP.
- Activer la validation en deux étapes combinant le mot de passe et un élément matériel, comme un téléphone ou une clé de sécurité.
- Vérifier les comptes bancaires et administratifs en cas d’instructions de transfert émanant d’un tiers.
Pour les administrateurs Google Workspace
- Suspendre temporairement le compte, ce qui réinitialise les cookies de connexion et les jetons OAuth.
- Examiner les journaux d’audit, les appareils mobiles et les connexions sur une période pouvant aller jusqu’à six mois.
- Réinitialiser le mot de passe, révoquer les jetons OAuth 2.0 et supprimer les mots de passe d’application.
- Réactiver le compte avec un mot de passe temporaire unique, activer la validation en deux étapes avec clés U2F et vérifier filtres, transferts et contacts.
Conclusion : une allégation à surveiller, une menace déjà documentée
L’allégation de Remus Stealer n’est pas démontrée. Les conditions d’un accès persistant après révocation effective des autorisations restent non vérifiées et ne doivent pas être traitées comme un fait. En revanche, la combinaison d’infostealers commercialisés, de failles Chrome exploitées et de messageries servant de canal de récupération justifie une vigilance accrue.
Trois scénarios restent ouverts. Si Google ou un test indépendant confirme une faille, le correctif et les recommandations devront être révisés en conséquence. Si l’allégation reste non vérifiée, le risque principal demeurera celui du vol d’identifiants et de sessions par les malwares. Si des vérifications montrent une persistance réelle après révocation, la réponse standard, centrée sur le changement de mot de passe, devra être complétée par une purge complète des autorisations.
Sources
- Cryptoast, « Une faille zero-day de Google ? »
- Google Cloud, définition de l’exploit zero-day
- Actu Crypto, épisode podcast, 11 novembre 2026
- Google, aide Compte Google : compte compromis
- Google Workspace, identifier et sécuriser les comptes compromis
- Le Monde Informatique, correctif zero-day Chrome
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
